Социальная инженерия в действии ч.2
B1ACK_GARANT![](/file/43da9572eb121a20e5194.png)
В этот статье я расскажу, как социальная инженерия применяется в действии, а также другие тонкости.
Это будет наглядная информация, которая используется некоторыми селлерами. Приведённая в статье информация представлена исключительно в образовательных целях.
Очень важно понимать, что на обратной стороне однажды можете оказаться и вы. Поэтому подумайте лишний раз, прежде чем отправить кому-либо документы или другие данные, которые подтверждают вашу личность.
Рыночные условия
Начать я хотел именно с этого пункта. Сегодня я покажу, как можно получить комплект документов, которые подтверждают личность, и попросить выполнить действие, которое будет нужно. Весь процесс постараемся разложить по полочкам и показать так, чтобы было интересно и полезно.
Для чего используются эти документы? Для бонусхантинга, для идентификации в специфических сервисах, набор кредитов и т.д. В зависимости от направленности собирается конкретный набор документов. Например, если европейский покер-рум предоставляет бездепозитный бонус в размере 500$ новым клиентам, то есть смысл стать несколько раз “новичком”.
Почему рыночное условие? Да только потому, что некоторые продавцы используют такие методы для получения полного комплекта документов и продают их на бордах. Обычный комплект документов стран СНГ стоит 10–20 долларов — в зависимости от количества страниц и фотографий. Цена на комплект из забугорных стран может достигать 50–80 долларов, если есть дополнительно фотография с селфи.
Как получить данные для подтверждения личности?
Большинство людей, время от времени, ищут работу. Для этого они иногда используют популярные сайты поиска работы. Есть довольно много сервисов, которые имеют разные особенности и функции. Но основная цель — соединить компанию с работником. Таким образом, компании публикуют вакансии, а потенциальные работники — резюме. В такой схеме есть все, что необходимо для атаки с помощью социальной инженерии.
В своих книгах, Кевин Митник рассказывал о том, что новые сотрудники в компании являются очень опасным звеном. Они хотят закрепиться и очень активно соглашаются на предложения о помощи. В нашем случае, люди имеют большую мотивацию получить работу, поэтому в каком-то случае они могут подвергаться атаке, которую мы рассмотрим на конкретном примере.
Краткий алгоритм возможных действий социального инженера
- Находит несколько потенциальный целей.
- Социальный инженер представляется HR-ом крупной компании по специализации человека.
- Располагает к себе потенциального работника.
- Просит пройти один-два небольших теста на IQ или на возможность работы в команде.
- Позитивно оценивает результаты и предлагает сделать несколько заданий в виде тестового испытания.
- Просит прислать пакет документов для подготовки контракта. В случае отрицания или дополнительных вопросов, убеждает в необходимости проверки по уголовной базе, базе плательщиков налогов и т.д.
- Сообщает о каких-то несоответствиях в резюме и отказывает.
Реализация
Воспользуемся одним из популярных сайтов поиска резюме, например hh.ru или любым другим сайтом. Для начала нам нужно пройти регистрацию, как пользователь. После этого у большинства сайтов будут видны контакты. Это номер телефона, почта или мессенджеры. Мы будем выходить из того, что проще всего — мессенджеры. Ищем подходящего человека и пишем ему примерно такой текст (содержание можно адаптировать под свои потребности и желания):
Здравствуйте, имя! Меня зовут Кевин Митник, представляю интересы крупной компании «Рога и Копыта» в качестве руководителя по найму персонала. У нас сейчас актуальная вакансия менеджера, которая подходит по вашей специализации. Скажите, хотели бы поработать в нашей компании?
После того как завязалась беседа и человек ответил, необходимо приступить к тестовому заданию. А почему бы в это задание не включить действие, которое будет оплачено нам CPA-сетью. Например, регистрация в каталоге или на другом сайте. Если быстро просмотреть популярные предложения, то можно найти от 20 до 200 рублей за регистрацию или установку на телефон.
![](/file/636bba515bbfeccad3821.png)
Обязательно делаем акцент в разговоре на том, что нужно будет регистрироваться в каталогах и смотреть информацию в приложениях, поэтому нужно скачать приложение и разместить там заявку в качестве испытательного задания. Обязательно добавить профессиональную подпись в почте.
![](/file/63b3a91f32285848498fc.png)
После того как все сделано, необходимо поздравить с успешным прохождением заявки и попросить пакет документов для проверки и подготовки дальнейшего контракта. Получаем результат. Очень важно чтобы все детали были максимально похожими. Очень важно подготовить вакансию и требования, которые будут подходить под должность. Эту информацию можно найти в запросах других компаний на этих сайтах.
В ходе проведения переписки получаем результат:
![](/file/769964dc256f9640657b6.png)
![](/file/65c565f823d1b3a8d1dd8.png)
Заключение
Я показал, как это может быть в одном из вариантов. Однажды, это может произойти с каждым. Поэтому очень внимательно общайтесь с людьми, взвешивайте риски, а также не попадайтесь на такие уловки. Так как в один день ваши данные могут быть проданы или использоваться для получения кредита. Сейчас очень много историй о системах, которые не используют видеоидентификации своих клиентов. Поэтому при грамотно сформированной заявке можно получить средства и без вашего ведома.
![](/file/495f46e0342be30c7d994.jpg)
![](/file/2c1f79988353468f46706.png)